نماذج الأوزان المفتوحة أكثر عرضة بنسبة 88% للهجمات السيبرانية

قيّمنا نماذج الأوزان المفتوحة والملكية لاختبار مدى قابليتها للتعرض؛ ووجدنا أن نماذج الأوزان المفتوحة تُظهر قابلية أعلى بنسبة 88% لسلاسل هجمات حقن الأوامر غير المباشرة السيبرانية في العالم الحقيقي.

في هذا التقييم، اختبرنا أحدث نموذج رائد وأحدث نسخة اقتصادية عبر المزودين الأكثر استخدامًا في بيئة المؤسسات.

كانت نماذج الأوزان المفتوحة أكثر عرضة بنسبة 88% لسلاسل هجمات حقن الأوامر غير المباشرة السيبرانية. فيما يلي عينة من بعض الهجمات التي أظهرت فروقات ملحوظة في القابلية للتعرض بين نماذج الأوزان المفتوحة ونماذج الملكية.

ما نقيسه

يحدد فريقنا البحثي الثغرات في الأنظمة الوكيلة في العالم الحقيقي (مثل Claude وChatGPT وAtlassian Rovo وغيرها) ويطور سلاسل هجوم كاملة لحقن الأوامر غير المباشرة ذات تأثيرات سيبرانية هجومية (على سبيل المثال، تسريب البيانات أو التنفيذ عن بُعد للتعليمات البرمجية). وقد وردت أبحاثنا المنشورة في إطار ومطبوعات صناعية متنوعة (مثل أول 10 من OWASP لنماذج LLM و MITRE ATLAS، وأبحاث OpenAI حول تسريب البيانات في الوكلاء و المتانة في مواجهة الخصوم للوكلاء).

أردنا الإجابة عن السؤال: ما مدى قابلية النماذج ذات الأوزان المفتوحة لهجمات حقن الأوامر غير المباشرة السيبرانية في العالم الواقعي؟

معايير الأمن السيبراني/المواءمة الحالية لا تغطي سلاسل الهجمات هذه والمنهجيات المستخدمة:

• فهي لا تغطي سلاسل الهجمات السيبرانية التي تُستخدم لاستغلال الأنظمة الوكيلة (Agentic) في العالم الواقعي.
• إنها لا تغطي التعقيدات والمجالات (مثل الشؤون القانونية، الرعاية الصحية، التمويل وغيرها) لحالات الاستخدام الواقعية التي تواجهها الوكلاء اليوم، مثل الوكلاء الدائمي التشغيل والمهام طويلة الأمد.
• تقنياتهم ومنهجيتهم في تصميم الأحمال الضارة غير فعّالة ضد الجيل الحالي من النماذج وهي قديمة، مما يؤدي إلى تمثيل ناقص لقابلية النماذج للاختراق.

دفعنا هذا النقص إلى تطوير معيار تقييم خاص بنا لقياس قابلية النماذج للاختراق بهجمات حقن الأوامر غير المباشرة السيبرانية التي تتعرض لها أنظمة الوكلاء الواقعية بشكل أكثر دقة.

منهجيتنا

أنظمة الوكلاء الحقيقية معقدة؛ وتختلف الأنظمة في نموذج التهديد وسطح الهجوم، وتحتاج بيئات التقييم إلى عكس ذلك. على سبيل المثال، لا يمكنك الاعتماد على رفض النموذج لقياس نجاح الهجوم: في الهجمات الواقعية، لا تفهم النماذج الإجراءات التي تتخذها. هذا يؤدي بالنماذج إلى تحريف ما إذا كانت قد سقطت ضحية هجوم (انظر Sonnet 5 تدّعي زورًا أنها لم تُشغّل برمجية خبيثة) أو حتى السقوط في هجمات حددتها مسبقًا؛ مثال أدناه:

فيما يلي بعض الأمثلة على أنواع هجمات حقن الأوامر غير المباشرة السيبرانية الواقعية التي نقيمها:

التلاعب بالنظام

يحدث التلاعب بالنظام في نظام الوكلاء عندما يتم تلاعب وكيل بواسطة مصدر بيانات غير موثوق لاتخاذ إجراء باستخدام أدواته له نتيجة هجوم سيبراني على المستخدم (مثل إعادة توجيه بريد إلكتروني حساس إلى مهاجم أو تشغيل سير عمل غير مصرح به). 

على سبيل المثال، في سلسلة هجوم عثرنا عليها في مركز عمليات الأمن السيبراني الوكيلية (Agentic Security Operations Center) من Elastic, تُكلَّف الوكيلة بفرز تقارير رسائل التصيد الاحتيالي، لكن محتوى أحد التنبيهات يتلاعب بالوكيلة لتنفيذ سير عمل المهاجم. تتخذ سير العمل هذه إجراءات خبيثة، تشمل تعطيل قواعد توجيه التنبيهات، وإنشاء مفاتيح API وتسريبها، وتعديل البيانات في المستأجر.

تسريب البيانات

في نظام وكيلي، يحدث تسريب البيانات عندما تتعرض الوكيلة للتلاعب من قبل مصدر بيانات غير موثوق لإنتاج مخرجات تؤدي إلى تسريب بيانات من مساحة عمل المستخدم إلى مهاجم.

حدد فريقنا سلسلة هجوم سيبراني لتسريب البيانات عبر حقن أوامر غير مباشر في Atlassian Rovo. في هذا الهجوم، تُكلَّف Rovo بتنظيم تذاكر Jira وفقًا لدليل عثر عليه المستخدم على الإنترنت. يخفي الدليل تعليمة تتلاعب بالوكيلة لإلحاق جميع تذاكر Jira بنهاية رابط URL خاص بالمهاجم وطلب الرابط الذي بنته عبر أداة استرجاع المواقع الخاصة بها. ثم يسجّل المهاجم جميع الطلبات التي تلقاها، بما في ذلك بيانات الضحية الملحقة بالرابط المطلوب.

التصيّد الاحتيالي (Phishing)

يحدث التصيّد الاحتيالي في نظام وكيلي عندما تتلاعب مصدر بيانات غير موثوق بالنموذج لإنتاج مخرج يتصيّد المستخدم أو الأفراد الذين يعملون على محتوى أنشأه الوكيل.

تتضمن بعض الأمثلة نموذجًا يُنشئ روابط خبيثة، أو توجيهات للتواصل مع أطراف غير موثوقة عبر الهاتف أو البريد الإلكتروني، أو حتى نموذجًا ينفّذ تعليمات برمجية تنشئ شاشات تسجيل دخول مزيفة.

حدّد فريقنا سلسلة هجوم تصيّد احتيالي في ChatGPT لجداول Google Sheets. في هذا الهجوم، تتلاعب ورقة مستوردة بـ ChatGPT لتشغيل برنامج نصي يتحكم فيه المهاجم، والذي يفتح نافذة منبثقة لتسجيل دخول احتيالي.

توضّح هذه الأمثلة مجموعة صغيرة من أنواع الهجمات وأشكال سلاسل الهجوم التي نقيسها في معيارنا لأنظمة الذكاء الاصطناعي.

يتطلب تقييم قابلية النموذج للاختراق أكثر من مجرد بيئات واقعية تعكس المهام والأدوات والقدرات في العالم الحقيقي. كما يتطلب إجراء اختبارات مستمرة ضد أحدث تقنيات الهجوم مع تطوّر أساليب الخصوم.

نتائج إضافية: النماذج الرائدة مقابل النماذج الفعّالة من حيث التكلفة

يقدّم مزوّدو النماذج عمومًا خطوط نماذج رائدة وخطوطًا فعّالة من حيث التكلفة. أطلقت OpenAI وAnthropic نماذجهما الفعّالة من حيث التكلفة بعد النماذج الرائدة، ومع ذلك كانت تلك النماذج الأحدث أكثر عرضة بكثير لهجمات حقن الأوامر غير المباشرة السيبرانية. في المقابل، بالنسبة إلى Qwen وDeepSeek، كانت النماذج الأحدث الفعّالة من حيث التكلفة أكثر متانة ضد الهجمات من النماذج الرائدة التي سبقتها.

لاحظنا أيضًا أن الفجوة في قابلية الاختراق بين النماذج الفعّالة من حيث التكلفة والنماذج الرائدة كانت أكبر بكثير لدى المزوّدين proprietary مقارنة بالمزوّدين ذوي الأوزان المفتوحة.

بالنسبة للمزوّدين proprietary، كانت النماذج الفعّالة من حيث التكلفة أكثر قابلية للاختراق بنسبة 169% من النماذج الرائدة، بينما بالنسبة للمزوّدين ذوي الأوزان المفتوحة، كانت النماذج الفعّالة من حيث التكلفة أقل قابلية للاختراق بنسبة 5% من نماذجهم الرائدة.

النماذج التي تم اختبارها في هذا التحليل هي:

• النماذج الرائدة: DeepSeek V4-Pro وKimi K3 وGLM-5.3 وQwen3.8-2.4T وClaude Fable 5.1 وGPT-6 Astra وGemini 3.1 Pro
• النماذج الفعّالة من حيث التكلفة: DeepSeek V4.1-Flash وKimi K2.6 وGLM-5.3-Flash وQwen3.8-Flash-Next وClaude Haiku 5.5 وGPT-6 Luna وGemini 3.8 Flash

ملاحظة: لا تقدّم Moonshot خطًا فعّالاً من حيث التكلفة، لذا استبدلنا بنموذج رائد سابق. إضافةً إلى ذلك، لم نختبر النماذج ذات الأوزان المغلقة التي تقدّمها مزوّدو الأوزان المفتوحة.

المعيار المرجعي

هل أنت مهتم بقياس قابلية النموذج للاختراق بهجمات سيبرانية عبر حقن الأوامر غير المباشرة في بيئات واقعية؟ إذا كنت ترغب في تقييم نموذج تستخدمه أو تطوّره، تواصل معنا أدناه.